Azure OpenAI中Authorization与api-key认证头调用差异及报错排查

你按照Azure AD集成教程操作时，遇到了用Authorization头（携带Bearer令牌）调用completion接口报PermissionDenied错误，但api-key头能正常工作的情况，下面是两种认证头的核心区别：

1. API Key认证 #

• 核心逻辑：属于固定密钥认证，是Azure OpenAI资源创建时生成的专属密钥，直接和资源绑定。
• 权限规则：默认持有密钥的主体就拥有该资源的全操作权限（除非手动做了密钥权限限制），不需要额外的身份授权。
• 适用场景：适合快速开发测试、小型项目，不需要复杂的身份管控，直接用密钥就能访问。
• 安全性：密钥是固定字符串，一旦泄露风险较高，需要妥善保存、定期轮换。

2. Azure AD Bearer令牌认证 #

• 核心逻辑：基于Azure AD身份的动态令牌认证，令牌是通过Azure AD验证你的身份（用户/服务主体/托管标识）后生成的，和具体身份绑定。
• 权限规则：权限完全取决于该身份在Azure OpenAI资源上被分配的Azure RBAC角色，比如必须分配Cognitive Services OpenAI User这类角色，才能调用接口。
• 适用场景：适合企业级场景，需要统一身份管理、精细化权限控制（比如不同团队有不同访问权限）、可审计的访问记录。
• 安全性：令牌有有效期（默认1小时），泄露后风险窗口短，还能通过撤销身份权限直接让令牌失效。

关于你遇到的权限错误 #

你用Bearer令牌报错的原因是：当前通过Azure CLI登录的Azure AD身份，没有被分配Azure OpenAI资源的访问权限。即使能获取到合法的Bearer令牌，Azure也会因为该身份没有对应的RBAC角色而拒绝访问。

解决方法：在Azure门户找到你的Azure OpenAI资源，进入「访问控制(IAM)」页面，给对应的Azure AD身份分配Cognitive Services OpenAI User角色，等待权限生效（通常几分钟）后再尝试调用即可。

内容的提问来源于stack exchange，提问作者Manu Chadha